PHP——全球大概七成網站背後用緊嘅程式語言——爆出近年最嚴重嘅安全漏洞。兩個漏洞合稱 「PHP2Shell」，嚴重程度評分 9.2/10，黑客唔使登入、唔使任何認證就可以喺伺服器上面遠程執行代碼。最諷刺嘅係，呢兩個漏洞係用 AI 搵出嚟嘅，而且已經喺程式碼入面匿藏咗超過十年。
如果你係網站管理員，或者公司有網站用 PHP 寫，呢篇唔係嚇你：即刻檢查你部伺服器用緊邊個 PHP 版本，有更新即刻更新。因為漏洞一公開，全球攻擊已經即時爆發。
PHP2Shell 有幾勁
- 編號：CVE-2026-109618 同 CVE-2026-109619，CVSS v4.0 評分 9.2/10；
- 攻擊方式：未經認證嘅遠程代碼執行（RCE），可以直接掂到伺服器嘅檔案系統同資料庫，偷資料、改網站內容、甚至成部機攞走；
- 影響範圍：由 PHP 5.4（2012 年推出）起所有版本都受影響，歐盟電腦應急小組（CERT-EU）評估最早可追溯到 2004 年嘅 PHP 5；
- 修復版本：8.5.12、8.4.27、8.3.36、8.2.35。PHP 8.1 同更舊版本官方已經終止支援，唔會有官方修補，要麼升級，要麼靠 Linux 發行版自己出嘅非官方補丁。
互聯網情報公司 Censys 嘅數據話，260 萬部回報緊 PHP 版本嘅主機入面，約 150 萬部運行緊係無修補可用嘅版本——即係超過一半暴露喺度，任人打。
AI 搵到嘅漏洞：由理論到實證
呢單嘢最值得講嘅係發現過程。PHP Foundation 其實早喺 2024 年已經理論上識別到相關缺陷，但一直證明唔到點樣可以被利用，於是放低咗。2026 年 7 月，PHP Foundation 加入 OpenAI 發起嘅 「Patch the Planet」 計劃——目標就係用 AI 去發掘同修補網絡開發語言嘅安全漏洞。
之後兩個月，兩間安全公司各自用最前沿嘅 AI 模型證實咗漏洞真係打得入：
- 安全公司 Calif 用 OpenAI 嘅 GPT-5.6 Sol，喺 8 月 11 日報告第一個漏洞；
- Google 旗下嘅 Wiz 用包括 Gemini 4 Argon 在內嘅模型，喺 8 月 24 日獨立發現並報告第二個漏洞。Wiz 形容，呢個係 AI 有史以來發現過最嚴重嘅漏洞。
原定 10 月 22 日先公開修補，但 10 月 20 日漏洞細節喺社交媒體洩漏，Calif 更加誤發咗一段示範點樣利用漏洞嘅影片，喺黑客論壇瘋傳。PHP Foundation 被迫將發布提前到 10 月 21 日。
公開即被狂攻：幾千變幾百萬
Cloudflare CEO Matthew Prince 喺 X 公開咗一組數字，好誇張：
- 公開前 10 小時：全網見到幾千次針對呢個漏洞嘅攻擊嘗試；
- 公開後 45 分鐘：跳升到幾萬次；
- 公開後 2 小時：幾十萬次；
- 之後：幾百萬次。
各國政府同機構即刻進入緊急狀態：法國地方政府網站、德國數碼部、荷蘭國會同數碼身份系統、芬蘭中央政府、英國預算責任辦公室、NHS Scotland 相繼將網站下線修補；日本嘅 niconico、pixiv 做緊急維護，三菱 UFJ 金融集團暫停部分互聯網服務，日本財務省暫停部分網站內容，連日本首相都公開呼籲網站擁有者檢查係咪用緊 PHP 並準備修補；維基媒體基金會都預防性關閉咗部分系統。
美國國家安全局（NSA）罕見地公開警告：如果未能即時更新，寧願將網站暫時下線，都唔好暴露喺度。英國國家網絡安全中心（NCSC）同德國聯邦資訊安全局（BSI）都發出同樣建議。
香港網站管理員即刻要做嘅三件事
- 查版本：睇下部伺服器跑緊 PHP 幾多版。用緊 8.2 至 8.5 嘅，即刻升上修復版本（8.5.12／8.4.27／8.3.36／8.2.35）。
- 8.1 或以下用戶注意：官方唔會再出修補，盡快規劃升級到受支援版本，或者確認你用緊嘅 Linux 發行版有冇自己出補丁。唔好抱住「部機冇乜嘢好偷」嘅心態——被入侵嘅伺服器會被用嚟做跳板攻擊其他人。
- 用緊 WordPress／虛擬主機嘅：大部分香港中小企網站都係呢類，聯絡你嘅主機商或者網站公司，確認佢哋已經修補。唔好假設人哋搞掂咗。
Ah Kwan 嘅睇法係，PHP2Shell 標誌住網絡安全進入一個新階段：AI 唔單止幫手搵漏洞，仲幫緊黑客搵漏洞。漏洞由公開到被大規模利用嘅時間，今次壓縮到以分鐘計——45 分鐘就由幾千變幾萬。以前「聽日先 update」可能仲得，而家係「唔 update 就即刻畀人打」。匿藏咗十幾年嘅漏洞，AI 兩個月就挖出嚟，呢種唔對稱，以後只會愈來愈常見。防守方唯一嘅優勢，就係快。
資料來源
- Reuters：Cloudflare sees millions of exploit attempts after PHP disclosure
- Digital Watch Observatory：PHP2Shell flaws found with AI force emergency PHP updates
- Donga Science：OpenAI AI Project Exposes Critical PHP Flaws, Shutting Down Global Government Websites
- Newswav：AI-discovered PHP flaws trigger global cyber alert, force websites offline
